CVE-2026-44995

OpenClaw przed wersją 2026.4.23 zawiera lukę w kontroli dostępu w operacjach config.apply i config.patch narzędzia bramy, która pozwala na wprowadzenie niebezpiecznych zmian w konfiguracji przez złośliwe modele, omijając niekompletną ochronę denylisty.

OpenClaw w wersjach przed 2026.4.23 zawiera podatność na wykonanie dowolnego kodu w wtyczce resolvera ustawień, która ładuje setup-api.js z process.cwd() podczas rozwiązywania metadanych dostawcy. Atakujący mogą wykonać dowolny kod JavaScript pod bieżącym kontem użytkownika, umieszczając złośliwy plik extensions/<plugin>/setup-api.js w repozytorium.

OpenClaw przed wersją 2026.4.20 zawiera lukę w zabezpieczeniach, która pozwala na obejście ochrony w punktach końcowych config.patch i config.apply. Luka ta nie chroni ustawień zaufanych przez operatora, takich jak polityka sandbox, włączanie wtyczek, uwierzytelnianie bramy/TLS oraz konfiguracja serwera MCP.

OpenClaw przed wersją 2026.4.22 wykorzystuje fałszowalne tokeny wydawane przez serwer w nagłówkach żądań do określenia kontekstu właściciela pętli zwrotnej MCP. Klienci pętli zwrotnej, którzy nie są właścicielami, mogą podszywać się pod właściciela, aby ominąć operacje zastrzeżone dla właściciela.

OpenClaw przed wersją 2026.4.22 zawiera podatność na analizę listy dozwolonych poleceń, która pozwala na ukrycie ekspansji powłoki w niecytowanych ciałach heredoc. Atakujący mogą obejść walidację listy dozwolonych poleceń, wprowadzając tokeny ekspansji powłoki w ciałach heredoc, co pozwala na wykonanie niezatwierdzonych poleceń w czasie wykonywania.

OpenClaw przed wersją 2026.4.20 nieprawidłowo rezerwuje przestrzeń nazw środowiska kontrolnego OPENCLAW_ w plikach dotenv, co pozwala atakującym na nadpisanie krytycznych zmiennych runtime. Złośliwe przestrzenie robocze mogą ustawiać zmienne, takie jak OPENCLAW_GIT_DIR, aby manipulować zaufanym zachowaniem runtime OpenClaw podczas aktualizacji źródła lub instalacji.

OpenClaw przed wersją 2026.4.15 zawiera lukę w autoryzacji, która pozwala na obejście kontroli poleceń w pokojach Matrix. Atakujący z identyfikatorami nadawców sparowanymi z DM mogą wykonywać polecenia kontrolne w pokojach bez konieczności bycia na liście dozwolonych użytkowników.

OpenClaw przed wersją 2026.4.15 przechwytywał skonfigurowane uwierzytelnienie bearer-auth podczas uruchamiania, co pozwalało na utrzymanie ważności unieważnionych tokenów po rotacji SecretRef. Handlerzy HTTP i WebSocket w bramce nie przeprowadzają ponownej weryfikacji uwierzytelnienia dla każdego żądania.

OpenClaw w wersjach przed 2026.4.10 zawiera lukę w polityce środowiskowej, która pozwala na niewystarczające zablokowanie zmiennych środowiskowych. Atakujący mogą manipulować tymi zmiennymi, co wpływa na zachowanie wykonywania kodu oraz łączność sieciową.

OpenClaw w wersjach przed 2026.4.10 zawiera lukę w zabezpieczeniach związaną z niekompletną ochroną nawigacji, która pozwala atakującym na wywołanie nawigacji bez pełnego egzekwowania polityki SSRF. Interakcje w stylu naciśnij/napisz w przeglądarce mogą omijać kontrole bezpieczeństwa po akcji, co prowadzi do nieautoryzowanej nawigacji.